ITPub博客

通过审查和评估其活动目录实施的漏洞或错误配置来应对主要威胁，了解如何检测和防止其环境中不寻常的横向移动尝试，实现应用程序白名单和禁用宏，以显著限制初始访问攻击。同时加强漏洞治理，减少网络攻击面。

谷歌和一些公司正在为软件添加安全配置，以便云应用程序和服务有明确定义的安全设置，同时，这也是DevSecOps的关键组成部分。目前，希望提高敏捷性和支持混合工作模式的公司越来越多地采用云基础架构，这也使得更多的开发团队采用“安全性即代码”的方式，将安全性构建到软件和产品中。在过去一年，谷歌将“安全即代码”作为其云产品的基本组成部分，并在1月份将“软件定义的基础设施”确定为推动云安全的八大趋势之一。

一项新的研究显示，2021年开源软件在常用代码库中的份额增长到78%，然而公司继续使用过时且不再维护的组件，这使得他们的软件可能容易受到攻击。根据报告显示，绝大多数软件代码库包含至少一个漏洞 (81%)，使用过期四年以上的开源组件 (85%)，并包含过去两年内没有开发的组件 (88 %)。尽管有些数据显示比前一年有所改善，但84%的代码库至少存在一个漏洞，而91%的代码库甚至在两年前就停止了开

代码审查是保持高水平代码质量的有效方式。代码审查不仅可以作为查找问题代码的门槛，而且可以激励编码人员提高技能、学习和审查自己的工作。

90%以上的网络安全问题是由软件自身的安全漏洞被利用导致的。加强漏洞治理来提高软件自身“免疫力”可以有效防治针对漏洞利用的网络攻击。

当今世界处于不断变化之中，网络世界与现实世界的联系越来越密切，随着网络犯罪不断增加以及技术的不断发展，安全团队可能很难直接关注保持组织安全的关键点。随着“Log4shell”(又名Log4J)漏洞的出现，完善的漏洞管理方案已经跃居维持理想网络安全状态所需技能列表的首位。网络攻击事件在增加，对经济的影响也在增加。据网络安全投资公司(Cybersecurity Ventures)称，到2025年，

在安全编码成为其文化的一部分之前，软件公司和开发团队还有很长的路要走，但有迹象表明，程序员和他们的公司都在更加重视安全。

智能城市安全漏洞可能会产生非常严重的后果，如果处理不当，不但会造成经济损失，而且严重情况下会危及生命。“智慧城市”一词在很多方面都有使用。根据StrategITcom的说法，智慧城市的定义是“使用通用安全基础设施、数据中心和设备级数据存储库进行关键和非关键数据通信的应用程序集合”。智慧城市不仅仅是一个新颖的想法。为城市居民提供服务并提高生活质量是一项社会当务之急，因为到2050年，预计全球70%的

Wabbi与IDG的一项新研究发现，实践持续安全的公司将漏洞减少了50%。该研究侧重于开发与安全的集成以及持续实践安全的好处。参与人员包括IT和安全部门的负责人、软件/应用程序开发经理和主管。数据探讨了整个软件开发生命周期 (SDLC) 中集成安全性的优先事项和趋势。主要发现有：IT/安全负责人认识到集成安全的价值随着攻击的种类和数量每天都在增加，建立针对所有潜在风险的防御成为难题。更重要的是

随着数字化转型的加速，针对软件供应链的攻击事件一直呈快速增长态势。恶意软件无孔不入，不但影响软件开发企业，而且造成大规模供应链攻击。近日，网络安全公司发现一个名为“RED-LILI”的威胁参与者发布了近800个恶意模块，与一场针对NPM包库的大规模供应链攻击活动有关。“通常，攻击者使用一个匿名的一次性NPM账户来发动攻击。”“这一次，攻击者似乎完全自动化了NPM账户创建的过程，并打开了专用账户，每

在不久前，应用程序编程接口 (API) 还是一个抽象概念。随着组织发展及流程数字化，单个应用程序中的许多复杂的相互依赖关系让开发人员、业务领导和客户感到复杂。但当转向微服务架构时，API的作用迅速提升。API在软件供应链中发挥着关键作用，软件供应链也逐渐自动化，并通过持续集成/持续交付 (CI/CD) 模型相互连接。软件供应链中的任何一环都可能存在被攻击的风险，API也不例外。2021年的

一个以前不为人知的Unix rootkit，用于窃取ATM银行数据和进行欺诈交易。

研究人员在名为ClickHouse的开源数据库管理系统解决方案中披露了7个新的安全漏洞，这些漏洞可能被利用，导致服务器崩溃、内存内容泄露，甚至导致任意代码的执行。ClickHouse是一个用于联机分析(OLAP)的列式数据库管理系统(DBMS)，主要用于在线分析处理查询(OLAP)，能够使用SQL查询实时生成分析数据报告。JFrog的研究人员Uriya Yavnieli和Or Peles在一份报告

网络附加存储(NAS)设备制造商QNAP最近发布了一份警告声明，称其产品可能容易受到近期Linux漏洞的攻击，这些漏洞可被用来访问受影响的系统。

在过去几年里，银行支付和数字金融的全球转型加速，消费者几乎在生活方方面面都与数字相连，这不但加快业务处理能力，同时它的便捷性也深受消费者欢迎。

在此次《指南》的车联网网络安全和数据安全标准体系中，包括总体与基础共性、终端与设施网络安全、网联通信安全、数据安全、应用服务安全、安全保障与支撑等6个部分。

DevSecOps是一种在敏捷环境中进行持续软件开发过程的相对较新的方法。它是包括安全自动化的DevOps(开发+运营)的扩展。但是，DevSecOps名称中顺序可能会导致不正确的应用程序安全操作方法。这也是为什么有些人认为称SecDevOps或许是一个更好的术语。传统的DevOps流程不包括安全性。这也就意味着许多实践DevOps文化的软件开发企业最初不存在安全团队，甚至在开发期间并没有关注到安

PJSIP开源多媒体通信库中披露了多达5个安全漏洞，攻击者可能会利用这些漏洞在使用协议栈的应用程序中触发任意代码执行和拒绝服务 (DoS)。

在开发生命周期的早期进行软件安全检测，组织将获得巨大的收益。

IBM Security发布了年度X-Force威胁情报指数，揭示了勒索软件和漏洞利用如何在2021年“监禁”企业，进一步加重全球供应链的负担，其中制造业成为最受攻击的行业。